CVE-2026-97404 in Zaqar
الملخص
بحسب VulDB • 24/09/2026
في OpenStack Zaqar قبل الإصدار 22.0.2، يعالج نقل WSGI رأس URL-Signature بشكل غير صحيح. ومن خلال إرسال طلب يحتوي على رأس URL-Signature فارغ، يمكن لمهاجم عن بُعد غير مُصادق عليه يعرف المعرف الفريد (UUID) لمشروع مستهدف أن يتجاوز كلًا من مصادقة Keystone والتحقق من عناوين URL الموقعة مسبقاً، مما يمنحه القدرة على قراءة وتعداد وإنشاء وحذف طوابير المشروع ورسائله ومطالباته واشتراكاته. ومن خلال المطالبة بدور إداري إضافياً، قد يقوم المهاجم أيضاً بإجراء عمليات إدارية، مثل إدارة أحواض الطرح (pools) والنكهات (flavors) في النشر باستخدام وضع المسؤول (admin_mode). تتأثر فقط النُشر التي تستخدم نقل WSGI مع استراتيجية مصادقة مُهيّأة؛ بينما لا يتأثر النقل عبر بروتوكول الويب سوكت (websocket).
If you want to get best quality of vulnerability data, you may have to visit VulDB.